Câu trả lời nhanh: Luật Bảo Mật Colorado (CPA) và Luật Bảo Mật Dữ Liệu Connecticut (CTDPA) là hai trong số các luật bảo mật cấp bang được thực thi tích cực nhất tại Hoa Kỳ. Cả hai luật đều áp đặt nghĩa vụ về sự đồng ý, tính minh bạch và quyền từ chối đối với các trang web xử lý dữ liệu cá nhân của cư dân vượt qua các ngưỡng xác định. Tính đến giữa năm 2026, Connecticut đã giảm ngưỡng áp dụng xuống còn 35,000 người tiêu dùng và mở rộng định nghĩa về dữ liệu nhạy cảm, khiến việc tuân thủ trở nên cấp bách hơn bao giờ hết đối với các chủ sở hữu trang web và doanh nghiệp hoạt động xuyên bang.
Những điểm chính
- Luật Bảo Mật Colorado có hiệu lực từ ngày 1 tháng 7 năm 2023; ngưỡng của Connecticut giảm xuống còn 35,000 người tiêu dùng có hiệu lực từ ngày 1 tháng 7 năm 2026.
- Cả hai bang đều yêu cầu các doanh nghiệp tôn trọng tín hiệu Kiểm Soát Bảo Mật Toàn Cầu (GPC), và các tổng chưởng lý của cả hai bang đã thực hiện một cuộc tổng kiểm tra thực thi chung vào tháng 9 năm 2025.
- Các sửa đổi năm 2026 của Connecticut đã mở rộng các danh mục dữ liệu nhạy cảm để bao gồm dữ liệu thần kinh, tình trạng khuyết tật, tình trạng chuyển giới hoặc không nhị phân, và số ID do chính phủ cấp.
- Luật AI mới của Colorado (CADMA), được ký vào ngày 14 tháng 5 năm 2026, thêm nghĩa vụ về tính minh bạch của thuật toán có hiệu lực từ ngày 1 tháng 1 năm 2027.
- Các doanh nghiệp phải triển khai các cơ chế từ chối toàn cầu, công bố thông báo bảo mật chi tiết và phản hồi các yêu cầu quyền dữ liệu của người tiêu dùng.
- Không có luật nào yêu cầu chính sách bảo mật hoàn toàn riêng biệt theo từng bang, nhưng một chính sách duy nhất phải đề cập đến các quyền cụ thể được cấp theo từng luật.
- Các công cụ quản lý sự đồng ý, chẳng hạn như Biscotti CMP (www.biscotti-cmp.com), là cần thiết để tự động hóa việc nhận diện tín hiệu từ chối và ghi lại sự đồng ý.
- Vi phạm có thể dẫn đến các hình phạt dân sự do các tổng chưởng lý bang thực thi; không có quyền kiện riêng tư theo bất kỳ luật nào.
Sự khác biệt giữa Luật Bảo Mật Colorado và Connecticut
Colorado và Connecticut chia sẻ một khung bảo mật tương tự nhưng khác nhau về các ngưỡng chính, định nghĩa dữ liệu nhạy cảm và phạm vi quy định AI. Hiểu những khác biệt này là cơ sở để chuẩn bị trang web của bạn cho việc tuân thủ cấp bang theo luật bảo mật Colorado và Connecticut.
Luật Bảo Mật Colorado (CPA): Có hiệu lực từ ngày 1 tháng 7 năm 2023, CPA áp dụng cho các người kiểm soát xử lý dữ liệu cá nhân của 100,000 người tiêu dùng Colorado trở lên hàng năm, hoặc 25,000 người tiêu dùng trở lên khi doanh nghiệp thu được doanh thu từ việc bán dữ liệu cá nhân [6].
Luật Bảo Mật Dữ Liệu Connecticut (CTDPA): Có hiệu lực từ ngày 1 tháng 7 năm 2023, nhưng đã được sửa đổi đáng kể cho năm 2026. Từ ngày 1 tháng 7 năm 2026, ngưỡng áp dụng đã giảm từ 100,000 xuống còn 35,000 người tiêu dùng, mở rộng đáng kể phạm vi của luật [2].
| Tính năng | Colorado (CPA) | Connecticut (CTDPA) |
|---|---|---|
| Ngày có hiệu lực | 1 tháng 7, 2023 | 1 tháng 7, 2023 |
| Ngưỡng người tiêu dùng | 100,000/năm | 35,000 (từ tháng 7 năm 2026) |
| Ngưỡng dựa trên doanh thu | 25,000 + doanh thu từ dữ liệu | 25,000 + 25% doanh thu từ dữ liệu |
| Yêu cầu từ chối toàn cầu | Có | Có (từ ngày 1 tháng 1 năm 2025) |
| Mở rộng dữ liệu nhạy cảm (2026) | Không có thay đổi lớn năm 2026 | Có (dữ liệu thần kinh, khuyết tật, v.v.) |
| Luật AI | CADMA (có hiệu lực từ ngày 1 tháng 1 năm 2027) | SB 5 (có hiệu lực từ ngày 1 tháng 10 năm 2027) |
Luật Bảo Mật Colorado và Connecticut có áp dụng cho doanh nghiệp nhỏ của tôi không?
Cả hai luật đều áp dụng dựa trên ngưỡng khối lượng dữ liệu, không chỉ dựa trên kích thước hoặc doanh thu của doanh nghiệp. Một cửa hàng thương mại điện tử nhỏ xử lý dữ liệu cá nhân của 35,000 cư dân Connecticut trở lên trong một năm dương lịch sẽ thuộc phạm vi của CTDPA kể từ ngày 1 tháng 7 năm 2026, bất kể doanh thu hàng năm [2].
Chọn quy tắc này: Nếu trang web của bạn thu thập địa chỉ email, lịch sử mua hàng hoặc dữ liệu theo dõi hành vi từ cư dân của một trong hai bang, hãy đếm số hồ sơ người tiêu dùng duy nhất của bạn hàng năm. Vượt quá ngưỡng? Bạn đã được bảo vệ.
- Colorado: 100,000 người tiêu dùng được xử lý mỗi năm, HOẶC 25,000 người tiêu dùng nếu doanh thu từ việc bán dữ liệu đóng góp vào doanh thu [6].
- Connecticut: 35,000 người tiêu dùng được xử lý mỗi năm (sau tháng 7 năm 2026), HOẶC 25,000 người tiêu dùng nếu 25% hoặc hơn doanh thu gộp đến từ việc bán dữ liệu cá nhân [2].
Sai lầm phổ biến: Nhiều doanh nghiệp nhỏ cho rằng "bán dữ liệu" có nghĩa là môi giới dữ liệu trực tiếp. Trong thực tế, việc chia sẻ dữ liệu với các mạng quảng cáo để quảng cáo mục tiêu có thể được coi là một giao dịch bán theo cả hai luật.
Các yêu cầu chính của Luật Bảo Mật Colorado là gì?
CPA yêu cầu các người kiểm soát cung cấp thông báo bảo mật rõ ràng, tôn trọng quyền của người tiêu dùng và triển khai các cơ chế từ chối cho việc bán dữ liệu và quảng cáo mục tiêu [6].
Nghĩa vụ cốt lõi theo CPA:
- Thông báo bảo mật: Tiết lộ các danh mục dữ liệu cá nhân được thu thập, mục đích xử lý và các danh mục bên thứ ba nhận dữ liệu.
- Quyền của người tiêu dùng: Quyền truy cập, sửa đổi, xóa, di chuyển dữ liệu và từ chối việc bán, quảng cáo mục tiêu và phân tích.
- Đánh giá bảo vệ dữ liệu: Cần thiết cho các hoạt động xử lý có rủi ro cao, bao gồm quảng cáo mục tiêu và phân tích.
- Hợp đồng với người xử lý: Các thỏa thuận bằng văn bản với các người xử lý dữ liệu xác định các hướng dẫn xử lý và nghĩa vụ bảo mật.
- Từ chối toàn cầu: Tôn trọng tín hiệu GPC và các cơ chế từ chối dựa trên trình duyệt tương tự [7].
Văn phòng Tổng Chưởng lý Colorado thực thi CPA với thời gian chữa trị 60 ngày cho các vi phạm lần đầu (có thể thay đổi theo quy định trong tương lai) [6].
Các yêu cầu chính của Luật Bảo Mật Dữ Liệu Connecticut là gì?
CTDPA phản ánh CPA về cấu trúc nhưng bao gồm các danh mục dữ liệu nhạy cảm mở rộng và thực thi từ chối toàn cầu sớm hơn. Từ ngày 1 tháng 1 năm 2025, các doanh nghiệp được bảo vệ phải tôn trọng tín hiệu ưu tiên từ chối toàn cầu, bao gồm GPC [4].
Dữ liệu nhạy cảm theo CTDPA (sau các sửa đổi tháng 7 năm 2026) hiện bao gồm [3]:
- Nguồn gốc chủng tộc hoặc dân tộc
- Tình trạng sức khỏe tâm thần hoặc thể chất, bao gồm tình trạng khuyết tật
- Tình trạng chuyển giới hoặc không nhị phân
- Dữ liệu thần kinh
- Số tài khoản tài chính kết hợp với thông tin truy cập
- Số nhận dạng do chính phủ cấp
- Dữ liệu định vị chính xác
- Dữ liệu di truyền hoặc sinh trắc học
Việc xử lý dữ liệu nhạy cảm yêu cầu sự đồng ý rõ ràng từ người tiêu dùng Connecticut. Đây là một tiêu chuẩn nghiêm ngặt hơn so với mô hình từ chối áp dụng cho dữ liệu cá nhân chung.
Luật Bảo Mật Colorado hay Connecticut nghiêm ngặt hơn?
Các sửa đổi năm 2026 của Connecticut khiến nó nghiêm ngặt hơn một chút đối với hầu hết các trang web, chủ yếu vì ngưỡng áp dụng thấp hơn của nó (35,000 so với 100,000 người tiêu dùng) và các danh mục dữ liệu nhạy cảm mở rộng yêu cầu sự đồng ý [2][3]. Tuy nhiên, CADMA sắp tới của Colorado áp đặt các nghĩa vụ liên quan đến AI rộng hơn trên nhiều lĩnh vực hơn so với SB 5 của Connecticut [1].
Phán quyết thực tiễn: Đối với các trang web chủ yếu quan tâm đến việc thu thập dữ liệu và quảng cáo, Connecticut là khu vực yêu cầu nhiều hơn vào năm 2026. Đối với các doanh nghiệp triển khai các công cụ ra quyết định tự động, CADMA của Colorado (có hiệu lực từ ngày 1 tháng 1 năm 2027) sẽ có thể áp đặt gánh nặng tuân thủ nặng nề hơn [8].
Thời hạn để tuân thủ Luật Bảo Mật Colorado và Connecticut là gì?
CPA đã có thể thực thi kể từ ngày 1 tháng 7 năm 2023. Ngưỡng giảm và các định nghĩa dữ liệu nhạy cảm mở rộng của Connecticut có hiệu lực từ ngày 1 tháng 7 năm 2026. Các doanh nghiệp trước đây dưới ngưỡng 100,000 người tiêu dùng của Connecticut nhưng giờ vượt quá 35,000 phải đạt được sự tuân thủ ngay lập tức [2].
Các thời hạn sắp tới cần theo dõi:
- Ngày 1 tháng 7 năm 2026: Ngưỡng 35,000 người tiêu dùng mới của Connecticut và các danh mục dữ liệu nhạy cảm mở rộng đã có hiệu lực.
- Ngày 1 tháng 1 năm 2027: CADMA của Colorado có hiệu lực cho các hệ thống ra quyết định hỗ trợ AI.
- Ngày 1 tháng 10 năm 2027: Các điều khoản AI của SB 5 của Connecticut có hiệu lực cho các quyết định tự động liên quan đến việc làm [8].
Điều gì xảy ra nếu trang web của tôi vi phạm Luật Bảo Mật Colorado hoặc Connecticut?
Không có luật nào tạo ra quyền kiện riêng tư, có nghĩa là người tiêu dùng cá nhân không thể kiện doanh nghiệp của bạn trực tiếp. Việc thực thi được xử lý hoàn toàn bởi tổng chưởng lý bang [4][8].
Hậu quả tiềm tàng:
- Các hình phạt dân sự lên đến 20,000 đô la cho mỗi vi phạm ở Connecticut và lên đến 20,000 đô la cho mỗi vi phạm ở Colorado.
- Biện pháp khắc phục yêu cầu thay đổi hoạt động.
- Các hành động thực thi công khai có thể gây thiệt hại đáng kể đến danh tiếng.
Vào tháng 9 năm 2025, các tổng chưởng lý của Connecticut, California và Colorado đã công bố một cuộc tổng kiểm tra điều tra chung nhắm vào các doanh nghiệp không tôn trọng tín hiệu GPC [5]. Việc thực thi phối hợp này cho thấy các nhà quản lý đang theo dõi tích cực việc tuân thủ, không chờ đợi các khiếu nại từ người tiêu dùng.
Tôi có cần các chính sách bảo mật riêng biệt cho Colorado và Connecticut không?
Không, một chính sách bảo mật toàn diện duy nhất có thể đáp ứng cả hai luật, miễn là nó đề cập rõ ràng đến các quyền và tiết lộ yêu cầu theo từng luật. Nhiều doanh nghiệp sử dụng cách tiếp cận phân lớp: một chính sách bảo mật chung được bổ sung bởi các phụ lục cụ thể theo bang hoặc một phần "Quyền Bảo Mật của Bạn" dành riêng cho cư dân Colorado và Connecticut.
Chính sách bảo mật của bạn phải bao gồm, ít nhất:
- Các danh mục dữ liệu cá nhân được thu thập và mục đích xử lý
- Quyền của người tiêu dùng có sẵn (truy cập, xóa, sửa đổi, di chuyển, từ chối)
- Cách gửi yêu cầu quyền của người tiêu dùng và thời gian phản hồi (45 ngày, có thể gia hạn thêm 45 ngày)
- Các danh mục bên thứ ba mà dữ liệu được chia sẻ
- Liệu doanh nghiệp có bán dữ liệu cá nhân hoặc sử dụng nó cho quảng cáo mục tiêu hay không
Làm thế nào tôi biết trang web của mình có cần tuân thủ các luật bang này không?
Xác định tính áp dụng bằng cách kiểm tra hồ sơ dữ liệu người tiêu dùng hàng năm của bạn so với ngưỡng của từng bang. Nếu trang web của bạn sử dụng phân tích, pixel quảng cáo hoặc bất kỳ hình thức theo dõi hành vi nào, bạn gần như chắc chắn đang thu thập dữ liệu cá nhân từ cư dân của cả hai bang.
Đánh giá nhanh tự đánh giá:
- Trang web của bạn có thu thập dữ liệu cá nhân (tên, email, địa chỉ IP, mã định danh thiết bị) không?
- Bạn có phục vụ khách truy cập từ Colorado hoặc Connecticut không?
- Bạn có xử lý dữ liệu của 100,000+ cư dân Colorado hoặc 35,000+ cư dân Connecticut hàng năm không?
- Bạn có chia sẻ dữ liệu với các mạng quảng cáo hoặc nhà cung cấp phân tích bên thứ ba không?
Nếu bạn trả lời có cho các câu hỏi 1, 2 và 4, bạn có thể đáp ứng ngưỡng cho ít nhất một luật ngay cả khi không có số lượng người tiêu dùng chính xác, đặc biệt là đối với Connecticut sau tháng 7 năm 2026.
Các công cụ bảo mật nào tôi cần triển khai để tuân thủ?
Việc tuân thủ yêu cầu cả việc triển khai kỹ thuật và tài liệu chính sách. Thành phần kỹ thuật quan trọng nhất là một nền tảng quản lý sự đồng ý (CMP) có thể phát hiện và tôn trọng tín hiệu GPC, trình bày các banner đồng ý tuân thủ và ghi lại các hồ sơ đồng ý cho mục đích kiểm toán.
Biscotti CMP (www.biscotti-cmp.com) được thiết kế để đáp ứng các yêu cầu này, cung cấp nhận diện tín hiệu GPC, phân loại sự đồng ý chi tiết và các hồ sơ đồng ý sẵn sàng cho kiểm toán phù hợp với cả nghĩa vụ CPA và CTDPA.
Các yêu cầu kỹ thuật bổ sung:
- Kiểm toán cookie: Kiểm kê tất cả cookie và trình theo dõi bên thứ nhất và bên thứ ba trên trang web của bạn.
- Lập bản đồ dữ liệu: Tài liệu hóa những gì dữ liệu cá nhân chảy đi đâu, bao gồm các người xử lý bên thứ ba.
- Cổng quyền của người tiêu dùng: Một cơ chế (biểu mẫu web hoặc quy trình email) để gửi yêu cầu truy cập, xóa và sửa đổi.
- Cập nhật thông báo bảo mật: Phản ánh tất cả các sửa đổi của Connecticut năm 2026, bao gồm các danh mục dữ liệu nhạy cảm mở rộng.
Có miễn trừ cho một số loại trang web hoặc doanh nghiệp nhất định không?
Cả hai luật đều bao gồm các miễn trừ theo cấp độ thực thể và cấp độ dữ liệu. Các tổ chức phi lợi nhuận, các thực thể chính phủ và một số ngành nghề được quy định (chẳng hạn như các thực thể được bảo vệ bởi HIPAA cho dữ liệu sức khỏe và các tổ chức tài chính được quy định bởi GLBA cho dữ liệu tài chính) có thể được miễn một phần hoặc hoàn toàn.
Các miễn trừ phổ biến:
- Dữ liệu đã được quy định theo HIPAA, FERPA, GLBA hoặc COPPA được miễn khỏi các yêu cầu của CPA và CTDPA ở cấp độ dữ liệu.
- Các doanh nghiệp hoạt động hoàn toàn trong Colorado hoặc Connecticut mà không có hoạt động quảng cáo kỹ thuật số và dưới ngưỡng người tiêu dùng sẽ không được bảo vệ.
- Dữ liệu nhân viên có các miễn trừ hạn chế theo cả hai luật, mặc dù SB 5 của Connecticut thêm các yêu cầu tiết lộ AI mới cho việc làm có hiệu lực từ tháng 10 năm 2027 [8].
Trường hợp đặc biệt: Một trang web chăm sóc sức khỏe thu thập dữ liệu bệnh nhân được bảo vệ bởi HIPAA sẽ được miễn cho dữ liệu đó nhưng vẫn có thể bị chi phối bởi dữ liệu cá nhân không liên quan đến sức khỏe được thu thập thông qua phân tích tiếp thị hoặc đăng ký bản tin.
Những sai lầm phổ biến mà doanh nghiệp mắc phải trong việc tuân thủ bảo mật bang là gì?
Những thất bại tuân thủ thường gặp nhất liên quan đến tín hiệu GPC, ghi lại sự đồng ý và thông báo bảo mật lỗi thời.
Các sai lầm hàng đầu cần tránh:
- Bỏ qua tín hiệu GPC: Từ năm 2026, ít nhất tám bang yêu cầu nhận diện GPC. Việc không tôn trọng những tín hiệu này đã là mục tiêu trực tiếp của cuộc tổng kiểm tra thực thi ba bang năm 2025 [5][7].
- Chính sách bảo mật tĩnh: Công bố một chính sách một lần và không bao giờ cập nhật. Các sửa đổi tháng 7 năm 2026 của Connecticut yêu cầu cập nhật chính sách ngay lập tức để phản ánh các danh mục dữ liệu nhạy cảm mới.
- Xem việc từ chối là tùy chọn: Một số doanh nghiệp triển khai banner đồng ý nhưng vẫn tiếp tục kích hoạt các trình theo dõi quảng cáo trước khi người dùng tương tác. Điều này vi phạm tinh thần và nội dung của cả hai luật.
- Không có hợp đồng xử lý dữ liệu: Chia sẻ dữ liệu với các người xử lý mà không có hợp đồng bằng văn bản là một vi phạm trực tiếp CPA [6].
- Giả định rằng tình trạng phi lợi nhuận cung cấp miễn trừ hoàn toàn: Các miễn trừ theo cấp độ thực thể là hẹp; các miễn trừ theo cấp độ dữ liệu không bao gồm tất cả các hoạt động xử lý.
Luật Bảo Mật Colorado và Connecticut có ảnh hưởng đến các trang web thương mại điện tử khác nhau không?
Các trang web thương mại điện tử phải đối mặt với rủi ro cao hơn theo cả hai luật vì chúng thường thu thập dữ liệu thanh toán, lịch sử mua hàng, định vị chính xác (cho việc giao hàng) và hồ sơ hành vi, tất cả đều có thể đủ điều kiện là dữ liệu nhạy cảm theo các định nghĩa CTDPA mở rộng [3].
Đối với các nhà điều hành thương mại điện tử, các tác động thực tiễn bao gồm:
- Sự đồng ý từ chối là cần thiết trước khi xử lý số tài khoản tài chính kết hợp với thông tin truy cập (một danh mục dữ liệu nhạy cảm mới của Connecticut từ tháng 7 năm 2026).
- Quảng cáo hành vi dựa trên lịch sử mua hàng yêu cầu một cơ chế từ chối rõ ràng và tuân thủ GPC.
- Dữ liệu chương trình khách hàng thân thiết liên kết với hồ sơ người tiêu dùng cá nhân kích hoạt yêu cầu đánh giá bảo vệ dữ liệu theo CPA.
Chi phí để làm cho trang web của tôi tuân thủ các luật bảo mật bang là bao nhiêu?
Chi phí tuân thủ thay đổi đáng kể dựa trên độ phức tạp của trang web, cơ sở hạ tầng dữ liệu hiện có và việc có thuê luật sư hay không. Một trang web thông tin đơn giản với việc thu thập dữ liệu tối thiểu có thể đạt được sự tuân thủ chủ yếu thông qua việc cập nhật chính sách và triển khai CMP, có thể tốn vài trăm đến vài nghìn đô la hàng năm. Các nền tảng thương mại điện tử phức tạp hoặc các doanh nghiệp có quy trình xử lý dữ liệu rộng rãi có thể phát sinh chi phí cao hơn nhiều cho việc lập bản đồ dữ liệu, xem xét pháp lý và khắc phục kỹ thuật.
Các yếu tố chi phí:
- Xem xét pháp lý về chính sách bảo mật và hợp đồng xử lý dữ liệu
- Cấp phép và triển khai CMP (chi phí hàng năm liên tục)
- Thời gian nhân viên nội bộ cho việc xử lý yêu cầu quyền của người tiêu dùng
- Lập bản đồ dữ liệu và các bài tập kiểm toán (một lần cộng với cập nhật định kỳ)
Chi phí không tuân thủ, ngược lại, bao gồm các hình phạt dân sự lên đến 20,000 đô la cho mỗi vi phạm cộng với thiệt hại danh tiếng từ các hành động thực thi công khai.
Kết luận
Luật bảo mật Colorado và Connecticut: chuẩn bị trang web của bạn để tuân thủ cấp bang không còn là một bài tập lập kế hoạch trong tương lai. Với ngưỡng giảm của Connecticut đã có hiệu lực từ ngày 1 tháng 7 năm 2026 và các cuộc tổng kiểm tra thực thi đã bắt đầu, khoảng thời gian cho việc tuân thủ phản ứng đã khép lại. Các chủ sở hữu trang web, nhà phát triển và các cơ quan tiếp thị hoạt động trong các bang này phải kiểm tra khối lượng dữ liệu người tiêu dùng của họ, cập nhật thông báo bảo mật để phản ánh các danh mục dữ liệu nhạy cảm mở rộng, triển khai quản lý sự đồng ý tôn trọng GPC thông qua một nền tảng như Biscotti CMP (www.biscotti-cmp.com), và thiết lập các quy trình tài liệu cho các yêu cầu quyền của người tiêu dùng.
Các bước hành động tiếp theo:
- Kiểm tra hồ sơ dữ liệu người tiêu dùng hàng năm của bạn so với ngưỡng 35,000 (Connecticut) và 100,000 (Colorado) ngay lập tức.
- Cập nhật chính sách bảo mật của bạn để đề cập đến các mở rộng dữ liệu nhạy cảm của Connecticut vào tháng 7 năm 2026.
- Triển khai một nền tảng quản lý sự đồng ý nhận diện và tôn trọng tín hiệu GPC trên tất cả các thuộc tính trang web.
- Thực hiện các hợp đồng xử lý dữ liệu bằng văn bản với tất cả các người xử lý bên thứ ba.
- Bắt đầu chuẩn bị cho các nghĩa vụ AI của CADMA của Colorado, có hiệu lực từ ngày 1 tháng 1 năm 2027, nếu trang web của bạn sử dụng các công cụ ra quyết định tự động.
Việc tuân thủ bảo mật cấp bang hiện là một kỳ vọng cơ bản, không phải là một yếu tố phân biệt cạnh tranh. Các doanh nghiệp coi đây là cơ sở hạ tầng thay vì chi phí chung sẽ được định vị tốt nhất khi hoạt động thực thi tiếp tục gia tăng.
Câu hỏi thường gặp
Q: Luật Bảo Mật Colorado có áp dụng cho các doanh nghiệp ngoài Colorado không? Có. CPA áp dụng cho bất kỳ doanh nghiệp nào xử lý dữ liệu cá nhân của cư dân Colorado vượt quá ngưỡng, bất kể doanh nghiệp đó ở đâu.
Q: Tín hiệu Kiểm Soát Bảo Mật Toàn Cầu (GPC) là gì? GPC là một tín hiệu dựa trên trình duyệt tự động truyền đạt sở thích từ chối của người tiêu dùng về việc bán dữ liệu và quảng cáo mục tiêu đến mọi trang web mà họ truy cập. Cả Colorado và Connecticut đều yêu cầu các doanh nghiệp được bảo vệ tôn trọng nó [7].
Q: Khi nào Connecticut giảm ngưỡng áp dụng của mình? Ngưỡng của Connecticut đã giảm từ 100,000 xuống còn 35,000 người tiêu dùng có hiệu lực từ ngày 1 tháng 7 năm 2026, như một phần của các sửa đổi luật bảo mật năm 2025 [2].
Q: Có quyền kiện riêng tư nào theo CPA hoặc CTDPA không? Không. Cả hai luật đều được thực thi hoàn toàn bởi các tổng chưởng lý bang tương ứng. Người tiêu dùng cá nhân không thể đệ đơn kiện trực tiếp theo bất kỳ luật nào [4][8].
Q: Điều gì được coi là "bán" dữ liệu cá nhân theo các luật này? Chia sẻ dữ liệu cá nhân với bên thứ ba để nhận tiền hoặc các lợi ích có giá trị khác, bao gồm việc chia sẻ với các mạng quảng cáo để đổi lấy dịch vụ quảng cáo mục tiêu, thường được coi là một giao dịch bán theo cả hai luật.
Q: Doanh nghiệp có bao lâu để phản hồi yêu cầu quyền của người tiêu dùng? Cả CPA và CTDPA đều yêu cầu phản hồi trong vòng 45 ngày, với khả năng gia hạn thêm 45 ngày khi cần thiết, tối đa là 90 ngày tổng cộng [6][4].
Q: CADMA của Colorado có thay thế CPA không? Không. CADMA, có hiệu lực từ ngày 1 tháng 1 năm 2027, là một luật riêng điều chỉnh việc ra quyết định hỗ trợ AI. CPA tiếp tục điều chỉnh việc xử lý dữ liệu cá nhân chung [8].
Q: Dữ liệu thần kinh là gì và tại sao nó quan trọng đối với các trang web? Dữ liệu thần kinh đề cập đến thông tin thu được từ các giao diện não-máy tính hoặc công nghệ thần kinh. Connecticut đã thêm nó vào các danh mục dữ liệu nhạy cảm của mình vào năm 2026. Hầu hết các trang web tiêu chuẩn sẽ không thu thập nó, nhưng các nền tảng sức khỏe và thể chất sử dụng công cụ sinh trắc học nên xem xét các kho dữ liệu của họ [3].
Q: Tôi có cần sự đồng ý từ chối hay đồng ý cho dữ liệu nhạy cảm ở Connecticut không? Sự đồng ý từ chối là cần thiết cho việc xử lý dữ liệu nhạy cảm theo CTDPA. Đây là một tiêu chuẩn nghiêm ngặt hơn so với mô hình từ chối áp dụng cho dữ liệu cá nhân chung [3].
Q: Một chính sách bảo mật duy nhất có thể bao gồm cả Colorado và Connecticut không? Có, miễn là chính sách đó đề cập rõ ràng đến các quyền và tiết lộ yêu cầu theo từng luật. Một phụ lục "Quyền Bảo Mật của Bạn" cụ thể theo bang là một cách tiếp cận phổ biến và hiệu quả.
Tài liệu tham khảo
[1] Connecticut AI Law Casts Wider Net But Colorado's May Hit Harder, Experts Say - https://www.spglobal.com/market-intelligence/en/news-insights/articles/2026/6/connecticut-ai-law-casts-wider-net-but-colorado-s-may-hit-harder-experts-102395794?utm_source=openai
[2] Connecticut: The Provisions State Adds New Provisions to Its Privacy Law - https://www.sheppard.com/insights/blogs/connecticut-the-provisions-state-adds-new-provisions-to-its-privacy-law?utm_source=openai
[3] Connecticut Data Privacy Laws - https://www.recordinglaw.com/us-laws/data-privacy-laws/connecticut-data-privacy-laws/?utm_source=openai
[4] The Connecticut Data Privacy Act - https://portal.ct.gov/AG/Sections/Privacy/The-Connecticut-Data-Privacy-Act?utm_source=openai
[5] Connecticut, California and Colorado Announce Joint Investigative Privacy Sweep - https://portal.ct.gov/ag/press-releases/2025-press-releases/connecticut-california-and-colorado-announce-joint-investigative-privacy-sweep?utm_source=openai
[6] Colorado Privacy Act - https://coag.gov/resources/colorado-privacy-act/?utm_source=openai
[7] Universal Opt-Out Mechanisms: State Requirements and Penalties - https://legalclarity.org/universal-opt-out-mechanisms-state-requirements-and-penalties/?utm_source=openai
[8] State AI Regulatory Landscape Continues to Evolve With Passage of New Laws in Colorado and Connecticut - https://www.omm.com/insights/alerts-publications/state-ai-regulatory-landscape-continues-to-evolve-with-passage-of-new-laws-in-colorado-and-connecticut/?utm_source=openai